Milline Sophos RED režiim sobib teie filiaali võrku?

Sophos RED on kaugkoha roll, mitte VPN-protokoll, mistõttu selle võrdlemine IPsec-i või OpenVPN-iga vastab vale küsimusele. Seade laiendab keskse tulemüüri kontrolli filiaalile ja valitud režiim otsustab, kes pakub filiaali lüüsi, kes jagab aadresse ja milline liiklus tunnelist läbi läheb. Need kolm vastust kaaluvad rohkem kui režiimide nimed. Nende esmalt kirjapanek muudab tootevaliku projekteerimisotsuseks.

RED on roll, mitte protokoll

RED-seade ühendab filiaali keskse Sophos Firewall-iga ja tulemüüri konfiguratsioon määrab, milleks filiaal saab. Tunnel on selle ühendamise teostusdetail, mitte üldotstarbeline VPN-lõpp-punkt, mille saab suunata ükskõik millisele partnerile.

See raamistik loeb, sest RED ei ole vahetatav suvalise IPsec-partneri vastu. See eeldab, et keskne tulemüür haldab seda, ja toetatud režiimid kirjeldavad, kui suure osa filiaalist see üle võtab. Selle kohtlemine tavalise tunneli lõpp-punktina loob ootusi, mida toode kunagi ei lubanud. Selle kohtlemine rollina tekitab küsimused, mis tegelikult disaini otsustavad.

Kolm allpool olevat tingimust muudavad vastust ja kõik need puudutavad omandit, mitte krüpteerimist.

Kolm tingimust, mis valivad režiimi

Küsige, kellele kuulub filiaali lüüs, kes haldab filiaali klientide jaoks DHCP-d ja DNS-i ning kas kohalik internetiühenduse väljumine peab tunneli katkestuse üle elama.

Standard/Unified vastab kõigile kolmele ühtmoodi: keskne tulemüür omab filiaali kohtvõrku, sealhulgas lüüsi ja DHCP ülesandeid, ja liiklus läheb tunnelist läbi. Standard/Split säilitab keskse halduse ja saadab tunnelist ainult konfigureeritud võrgud. Transparent/Split jätab olemasoleva filiaali võrgu oma lüüsi ja aadresse haldama ning suunab tunnelisse ainult valitud liikluse. Kolm režiimi, kolm erinevat omanikku.

Lugege kõigepealt keskmist veergu, sest see otsustab, kui suur osa filiaalist tunneli puudumisel ikka töötab.

Kellele kuuluvad filiaali lüüs ja DHCP

Ühtses paigutuses ei ole filiaalil eraldi lüüsi, mis lihtsustab konfiguratsiooni ja koondab rikke. See koondamine on korras, kui filiaal on väike ja keskne tulemüür on suure käideldavusega.

Läbipaistvas juurutuses hoiab filiaal oma ruuteri ja RED istub teel, et valitud liiklust ümber suunata. See säilitab kohaliku kontrolli ja lisab seadme, mille asukoht teel loeb nüüd iga ümbersuunatud voo jaoks. Dokumenteerige, kus see asub, sest hilisem muudatus filiaali ruuteris võib sellest vaikselt mööda minna. Kumbki paigutus ei võida üldiselt; need jaotavad vastutust erinevalt.

Aadresside omand on see osa, mis tuleb kirja panna, sest kaks DHCP-serverit samas segmendis tekitavad aeg-ajalt rikkeid, millest teatatakse VPN-probleemidena.

Mis juhtub, kui tunnel katkeb

Split-režiimi tööd loetakse sageli lubaduseks, et kohalik internet töötab tunneli rikke ajal edasi, ja see lugemine ei ole turvaline. Täpne käitumine sõltub valitud režiimist, püsivarast ja seadmest, seega kuulub see vastuvõtukriteeriumitesse, mitte oletusse.

Otsustage, mida filiaal peab ilma tunnelita veel tegema: jõudma kohalike printeriteni, lahendama nimesid, võtma vastu makseid või mitte midagi. Seejärel testige seda olekut meelega, blokeerides tunneli ja filiaali jälgides. Filiaal, mis kaotab vaikselt DNS-i, on hullem kui see, mis läheb valjult rikki, sest kõne tugiteenusesse tuleb tunde hiljem. Kirjutage täheldatud tulemus projekteerimiskirjesse.

Keskne sõltuvus on igas režiimis sama: keegi peab omama seadme enda taasteed.

Kirjutage filiaali leping enne juurutamist

Filiaali leping mahub ühele lehele: omanikud, aadressiallikad, tunnelist läbivad prefiksid, väljumispoliitika ja teie poolt aktsepteeritud katkestuskäitumine.

Seejärel kontrollige juurutatud tulemust, mitte kavatsetut. Kontrollige filiaali kliendi aadressi, selle vaikelüüsi, millised prefiksid tunnelist lahenevad ja mis veel vastab, kui tunnel on blokeeritud. Ühilduvus, kättesaadavus ja litsentsimine tuleb kõik kontrollida müüja kehtiva dokumentatsiooni vastu täpse mudeli kohta, sest tootenimi ei garanteeri režiimi. Hoidke see leht seadme kirje juures, et järgmine insener päriks otsused, mitte diagrammi.

ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.example

Korrake seda plokki blokeeritud tunneliga ja kahe jooksu vahe on katkestuskäitumine, mille te tegelikult ostsite.